BTCPay Server关键漏洞已遭利用
BTCPay Server发布紧急安全公告，2.4.2以前所有版本（含候选版）存在关键漏洞，且已确认遭实际利用并导致用户资金被盗。
该漏洞可让未经身份验证的远程攻击者获取LND的.macaroon凭证文件，进而控制LND节点并转移资金；官方敦促使用LND的用户立即升级至BTCPay Server 2.4.2和LND 0.21.1，链上钱包不受影响，暂未披露具体被盗金额。
事件驱动下LND相关节点资金被转移，攻击者获取凭证后直接控制并抽走资金，自托管闪电网络用户承压，官方修复版本受益。
来源：公开信息
ABAB AI 解读
BTCPay Server作为开源自托管比特币支付处理器，此前以无中介、无手续费特性吸引自主权用户与商户，核心贡献者曾估计全球有数十万运行实例，GitHub主仓库下载超百万次；此次漏洞暴露其在API权限与凭证文件管理上的长期薄弱点。
资金通过被盗LND macaroon凭证直接从闪电节点渠道转移，动机在于利用未认证远程访问绕过防护，快速清空通道余额；类似路径可见于此前闪电网络节点因凭证泄露或配置失误导致的资金损失事件。
对标其他自托管比特币工具如Electrum或各种节点软件在凭证与权限设计上的历史安全事件，当前处于开源支付基础设施从功能扩张向强制安全加固的转型阶段。
本质属于技术替代中的监管变化边缘：自托管模型将安全责任完全推给用户，漏洞一旦被利用即直接导致资金损失，机制在于凭证文件持久化且可被远程获取，迫使全网紧急迁移至修复版本以切断攻击路径。
ABAB News · 认知定律
自托管的安全责任永远在用户
凭证泄露等于资金开门
开源免费不等于零风险